¿Más empresas en sitios de filtración o solo lo vemos mejor?

El alza es real: en lo que va de 2026 los grupos de ransomware ya publicaron 32 empresas chilenas en sus sitios de filtración, casi el doble que en todo 2025. Pero una parte de lo que ves es visibilidad y no actividad nueva: hay más gente contando, más canales monitoreados y grupos que inflan sus listados. Aquí separamos una cosa de la otra, y qué hacer si tu empresa aparece.

Cuántas empresas están apareciendo

Un sitio de filtración es la página donde un grupo de ransomware publica el nombre de las empresas que dice haber atacado, para presionarlas a pagar. Contamos cuántas empresas distintas aparecieron ahí cada año.

Conteo propio de Twoko sobre la API pública de ransomware.live: empresas distintas por año, deduplicadas por dominio y excluyendo al grupo 0APT, que infló sus listados con víctimas inventadas. Consulta del 8 de septiembre de 2026.

El año todavía tiene casi cuatro meses por delante y ya casi iguala el total de 2025. Comparando períodos iguales, hasta esta misma fecha el año pasado iban 5.086 empresas: el alza es de 35%.

No es un efecto de nuestro método. Check Point Research, ReliaQuest, GuidePoint GRIT, Flashpoint y Bitdefender miden esto por su cuenta y con criterios distintos, y los cinco reportan alzas de dos dígitos frente a 2025 (2026).

Con una advertencia que conviene llevar a cualquier conversación de directorio: estos listados son reclamos de los grupos, no ataques confirmados. Comparitech (2026) logró verificar con la empresa afectada solo una fracción de las víctimas reclamadas en el primer semestre. Por eso hablamos de empresas publicadas, no de empresas atacadas.

Chile: de objetivo oportunista a campaña sostenida

En Chile la curva es más pronunciada que la mundial.

Mismo conteo, filtrado por país y corregido a mano: siete entradas marcadas como Chile correspondían a empresas de Perú, El Salvador, España, México, Colombia, Indonesia y Estados Unidos.

Sigue siendo una muestra pequeña, así que conviene leerla como dirección y no como estadística fina. Pero la dirección es clara, y el perfil también cambió: en 2025 los casos chilenos se repartían entre trece grupos distintos y ninguno concentraba más de tres; en 2026 dos de ellos, Qilin y The Gentlemen, se llevan siete de cada diez. Dejó de ser oportunismo disperso.

Casos públicos: Copec fue listada por Anubis el 9 de enero con un reclamo de 6 TB y un rescate de US$6 millones que rechazó; informó que el incidente fue contenido y que los datos de clientes no se vieron comprometidos (BioBio y El Mostrador, 2026). El INDH activó su protocolo el 4 de febrero y su comunicado dice que no se comprometió información ni infraestructura; The Gentlemen lo reclamó en su sitio (CronUp, 2026). Clínica Dávila fue publicada por Devman en diciembre de 2025 con 250 GB de datos de pacientes (BioBio, 2025; SERNAC, 2025) y en marzo LockBit 5.0 publicó 180 GB del mismo material (Interferencia, marzo de 2026). SAAM Towage, operador de importancia vital, fue listada por Qilin el 9 de abril y sus contratos aparecieron en mayo (Interferencia, mayo de 2026).

CronUp (2026) llegó a la misma lectura: Chile "pasó de ser un objetivo oportunista a convertirse en parte de campañas activas y sostenidas de ransomware". Del lado regulatorio, la ANCI recibió 414 reportes en su primer año de reporte obligatorio bajo la Ley 21.663 (Balance de Gestión Integral 2025, DIPRES).

Por qué está pasando

Cada vez menos víctimas pagan. Check Point Research (2026) resume casi una década: la tasa de pago cayó de 85% en 2019 a cerca de 23% este año. Coveware, Chainalysis, Coalition y Sophos miden universos distintos y todos apuntan en la misma dirección. Si casi nadie paga, publicar los datos pasa a ser el desenlace por defecto.

Hay más grupos que nunca. Check Point (2026) contó un récord de grupos activos en el segundo trimestre. En nuestro conteo, los que no existían el año pasado explican cerca de un tercio del aumento.

Dos operaciones concentran el crecimiento. The Gentlemen creció rápido en 2026 y desplazó a Qilin, que había liderado cuatro trimestres seguidos (ReliaQuest, 2026). Son los mismos dos que dominan en Chile.

Ya casi no cifran, solo publican. Unit 42 (2026) reporta que el cifrado estuvo presente en el 78% de los casos de extorsión de 2025, bastante menos que en años anteriores. Robar datos y amenazar con publicarlos es más barato y más rápido que cifrar una red.

Una falla en un proveedor arrastra a decenas. Cl0p explotó vulnerabilidades en software corporativo de uso masivo y publicó decenas de víctimas de una sola vez (SecurityWeek, 2026). Basta un proveedor común para que muchas empresas aparezcan juntas.

Qué parte es solo visibilidad

Antes de llevar esta cifra a un comité, conviene descontar lo que no es actividad nueva.

Cada agregador cuenta distinto. Para un mismo trimestre, las cifras de Check Point, Comparitech, ReliaQuest y Bitdefender se separan hasta en un 40% (2026). Elegir una fuente u otra cambia el titular.

El movimiento se fue a Telegram, que pasó de un cuarto a casi la mitad de la conversación cibercriminal (NordStellar, 2026). Quien empezó a mirar ahí este año ve más sin que el mercado haya crecido tanto.

Hay grupos que inventan víctimas. Halcyon (2026) verificó en registros filtrados que 0APT infló sus listados, y Bitdefender (2026) mostró que ese grupo por sí solo daba vuelta el signo del trimestre. Los trackers serios lo excluyen, y nuestro conteo también.

La misma empresa aparece más de una vez. Bitdefender (2026) encontró 98 reclamos que correspondían a 49 organizaciones. El caso chileno es Clínica Dávila: los datos robados en diciembre reaparecieron meses después en otro sitio de filtración (Interferencia, 2026).

Hay intermediarios que reempaquetan filtraciones viejas como nuevas (Group-IB, 2026). En Chile pasó dos veces en mayo: la ANCI descartó un nuevo ciberataque y atribuyó la publicación a filtraciones de años anteriores (Radio Universidad de Chile, 2026), y la supuesta fuga de 6 millones de chilenos era material reciclado (El Mostrador, 2026).

El matiz que sí es señal: lo que Have I Been Pwned incorporó este año es material fresco. Según nuestro conteo sobre su API, la edad mediana de una filtración al cargarse bajó de 88 días a 21.

¿Y las bases de datos a la venta?

Aquí no existe una métrica limpia, y conviene decirlo antes que inventar una. Los incidentes reportados en Estados Unidos están casi planos (ITRC, 2026), aunque la cantidad de personas afectadas se disparó por una sola brecha muy grande. Have I Been Pwned, en cambio, cargó bastante más filtraciones que el año pasado y todas recientes.

Y la parte incómoda: Bitsight (2026) observó menos filtraciones en foros clandestinos, y advierte que eso refleja menor actividad visible, no menor riesgo. La explicación es que los foros grandes cayeron o fueron incautados (BleepingComputer, 2026) y el movimiento migró a canales privados que se ven peor.

Qué hacer si tu empresa aparece (o antes de que aparezca)

Fuentes